Teollisuusautomaation tärkeimmät kyberturvallisuuskontrollit

Varautumisen ohjenuoraksi tarvitaan määritelty, ylläpidetty, dokumentoitu ja harjoiteltu poikkeamanhallintaprosessi (incident response). Käytännössä tämä tarkoittaa sitä, miten tuotantoympäristöjen kyberpoikkeamia pystytään havaitsemaan, analysoimaan, miten niihin vastataan ja miten poikkeamista palaudutaan. Havaitsemisen kannalta olennaista on kyky analysoida tietoliikennettä. Lisäksi poikkeamien juurisyy pitäisi pystyä aina löytämään. Ilman riittävän kattavaa lokitietojen keräämistä tämä on usein mahdotonta. Lokitiedot on hyvä kerätä keskitettyyn paikkaan, jotta havaintoja voidaan korreloida ja aggregoida.

Kyberturvallisuuskeskuksen kehittämä Kybermittari auttaa yritystä hahmottamaan kykyään torjua kyberuhkia. Kybermittarin osiossa, jossa arvioidaan tapahtumien ja häiriötilanteiden hallintaa, tarkastellaan yrityksen kykyä hallita, reagoida ja palautua kybertapahtumista ja -häiriöistä. Kybermittaria voi hyödyntää tuotantoverkkojen kyberturvallisuuden kypsyyden arvioinnissa, ja sillä voi löytää ympäristöistä puutteelliset ja kehitystä tarvitsevat osiot.

Puolustuskyvyn ehdoilla suunnitellun järjestelmäarkkitehtuurin tarkoituksena on pienentää riskien toteutumisen todennäköisyyttä ja toteutuneiden riskien vaikuttavuutta sekä helpottaa puolustamista. Suojaavien tietoturvakontrollien käyttöönottamista ja hallintaa on hyvä tukea jo arkkitehtuurin suunnitteluvaiheessa. Tärkeitä tuettavia tietoturvakontrolleja ovat mm. lokien kerääminen, näkyvyys ja fyysiset tai loogiset aliverkot.

Esimerkiksi hyvin tehty verkkoympäristöjen eriyttäminen ja eristäminen toisistaan helpottaa ympäristön suojaamista, estää rikollisten vapaata liikkumista tietomurron jälkeen ja tarjoaa paremman mahdollisuuden valvoa ympäristöihin tulevaa ja niistä lähtevää liikennettä kuten myös tuotantoympäristöjen sisäistä liikennettä. Kyberturvallisuuskeskuksen ensimmäisessä kyberturvallisuuden hallintakeinojen ketterää toteuttamista tutkineessa Tonttu-projektissa havaittiin, että tärkeidenkin ympäristöjen verkkojen eristämisessä on monesti puutteita. Järjestelmäsuunnittelussa kannattaa hyödyntää olemassa olevia hyviä käytäntöjä ja standardeja.

Puutteellinen näkyvyys tuotantoympäristöjen tietoliikenteeseen ja laitteisiin aiheuttaa haasteita havaita ja tutkia poikkeamia, saati ylläpitää tarkkaa omaisuusluetteloa. Omaisuusluettelon puute vastaavasti tekee riskienhallinnasta vaikeaa, ellei mahdotonta. Näkyvyyden varmistaminen rikkomatta verkkojen eristämistä toisistaan vaatii erityistä huolellisuutta.

Kyberturvallisuuskeskuksen Lauttatonttu-projektissa vuonna 2021 mm. kartoitettiin verkon suojattavia kohteita ja hälytettiin havaituista odottamattomista suojaamattomista kohteista. Suosittelemme seuraamaan tulevia Tonttu-projekteja aiheeseen liittyen.

Turvallisen etäkäytön avulla vain tunnistetut ja hyväksytyt käyttäjät pääsevät ottamaan sallitulla tavalla yhteyksiä tuotantoympäristöihin. Dragosin mukaan yleisin tapa tunkeutua tuotantoympäristöihin on niihin rakennettujen etäkäyttöyhteyksien väärinkäyttö. Ongelma koskee etenkin ympäristöjä, joissa tietotekniikka- (IT) ja tuotantotekniikkapuolella (OT) käytetään samoja käyttäjätunnuksia.

Monivaiheista todentamista (MFA) voidaan soveltaa turvallisesti useimmissa tuotantoympäristöissä ja sen on osoitettu vähentävän merkittävästi hyökkäyksien onnistumista. MFA on otettava käyttöön etenkin organisaatioiden välisissä jaetuissa verkoissa ja julkiseen Internetiin näkyvissä palveluissa. Ellei MFA:ta voida käyttää, on suojaukset toteutettava jotenkin muuten, esimerkiksi eristämällä järjestelmät tarkasti valvottujen hyppykoneiden taakse. Etäyhteyksien turvaamisessa kannattaa hyödyntää mahdollisuuksien mukaan myös sessiopohjaisia kirjautumia. Tämä tarkoittaa käytännössä sitä, että esimerkiksi etäyhteyden pituudelle ja järjestelmien käytölle määritellään aikarajat.

Kyberturvallisuuskeskuksen havaintojen mukaan turvaton etäkäyttö liittyy toisinaan ongelmiin verkkojen eristämisessä. Esimerkiksi virheet palomuurisääntöjen suunnittelussa ja muokkaamisessa saattavat tarjota suojatuiksi tarkoitettuja etäkäyttöpalveluita tai erilaisia laitteiden ja palveluiden kirjautumisikkunoita näkyville julkisesti Internetiin. Eräs Kyberturvallisuuskeskuksen lakiin perustuva tehtävä on Internetiin näkyvien suojaamattomien automaatiojärjestelmien kartoitus. Kartoituksissa kirjautumiskäyttöliittymiä paljastuu toistuvasti.

Riskiperustainen haavoittuvuuksien hallinta vaatii ajantasaisen omaisuusluettelon ja kykyä priorisoida haavoittuvuudet ja järjestelmät. Mikäli laite- ja järjestelmävalmistaja tarjoaa tuotteistaan tietoa ohjelmistolistauksen (SBOM) avulla, niin sitä kannattaa ehdottomasti hyödyntää. Apuna voi käyttää myös Kybermittari-työkalun uhkien ja haavoittuvuuksien hallinnan osiota, jossa arvioidaan organisaation kykyä määritellä ja ylläpitää suunnitelmia, prosesseja ja tekniikoita kyberuhkien ja -haavoittuvuuksien havainnointiin, tunnistamiseen, analysointiin, hallintaan ja niihin puuttumiseen - suhteessa organisaatioon kohdistuviin riskeihin ja organisaation tavoitteisiin.

Automaatiojärjestelmien valmistajat ilmoittavat edelleen valitettavan harvoin haavoittuvuustiedotteissaan muita hallintakeinoja kuin haavoittuvan ohjelmiston päivittämisen. Ohjelmistopäivitykset ovat mahdollisia yleensä vain tuotannon seisokin aikana, mutta haavoittuvien järjestelmien hyväksikäytön todennäköisyyttä ja vaikutuksia pitäisi pystyä jotenkin pienentämään jo haavoittuvuustiedotteen julkaisun ja seisokin välisenä aikana.

Toinen olennainen korjaavien ohjelmistopäivitysten asentamiseen liittyvä ongelma on, että monissa tuotantoympäristöissä laitoksen omistajan ei ole mahdollista päivittää haavoittuvia järjestelmiä itse, vaan päivitykset voi tehdä vain järjestelmätoimittajan henkilökunta. Valmistajan henkilökunnan matkustaminen eri tuotantolaitoksiin olisi kallista ja hidasta, joten yleensä tuotantolaitokseen järjestetään etäyhteys. Turvallisen etäkäyttöratkaisun lisäksi myös toimitusketjun turvaaminen on tärkeää, sillä vakavimman uhkan aiheuttavat uhkatoimijat käyttävät hyväksi organisaatioiden luottamusta toimittajiinsa.

Kyberturvallisuuskeskuksen Ketjutonttu-projektin tavoite on auttaa suomalaisia yrityksiä ja niiden toimittajia hallitsemaan toimitusketjuihin liittyviä kyberriskejä. Organisaatiot voivat hyödyntää lisäksi Kybermittari-työkalun toimitusketjun ja ulkoisten riippuvuuksien hallinnan osiota, jossa arvioidaan organisaation kykyä tunnistaa ja hallita toimitusketjuihin ja kolmansiin osapuoliin liittyviä riskejä.